AuraBorealis: Sai cosa c'è nei tuoi pacchetti Python?

Informazioni

AuraBorealis è un'applicazione web per visualizzare codice anomalo e potenzialmente malevolo nei registri dei pacchetti Python. Utilizza dati di audit di sicurezza prodotti dalla scansione del Python Package Index (PyPI) tramite Aura, un'analisi statica progettata per l'audit di sicurezza su larga scala dei pacchetti Python. Lo strumento attuale è un proof-of-concept e include alcuni dati live di Aura, oltre ad alcuni dati fittizi per scopi dimostrativi.

Le funzionalità attuali includono:

• Scansione dell'intero registro dei pacchetti Python per:

  • Elenca i pacchetti con il maggior numero di avvisi di sicurezza, ordinati per tipo di avviso di Aura
  • Elenca i pacchetti ordinati per numero totale e unico di avvisi
  • Elenca i pacchetti per il loro punteggio di gravità complessivo

• Visualizza gli avvisi di sicurezza per un singolo pacchetto, ordinati per criticità

• Visualizza i numeri di riga e le righe di codice nei file che generano avvisi di sicurezza per un pacchetto specifico

• Confronta due pacchetti per gli avvisi di sicurezza

Istruzioni

Attiva la tua VPN (su IQT)

Clona il repository.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

Naviga nella directory aura-borealis-flask-app.

cd aura-borealis-flask-app

Installa le dipendenze.

pip install -r requirements.txt

Esegui l'app.

python app.py

Naviga all'URL http://0.0.0.0:7000/ tramite un browser.

Roadmap delle funzionalità

• Confronta un pacchetto con un profilo di riferimento di pacchetti con scopo simile per gli avvisi di sicurezza
• Confronta diverse versioni dello stesso pacchetto per gli avvisi di sicurezza
• Elenca i pacchetti che hanno modifiche negli avvisi e/o nel punteggio di gravità tra due date
• Capacità di scansionare un pacchetto/registro interno che non è pubblico su PyPI
• Mostra un'analisi delle autorizzazioni (questo pacchetto effettua una connessione di rete? Questo pacchetto richiede autorizzazioni di libreria a livello di sistema operativo?)

Informazioni di contatto

[email protected] (John Speed Meyers, IQT Labs, responsabile del progetto Secure Code Reuse).

Lo sviluppatore principale e creatore di Aura è Martin Carnogusky di sourcecode.ai.

Lavori correlati

• Articolo del blog IQT sul riuso sicuro del codice
• Articoli del blog IQT sul typosquatting e sulla prevenzione del typosquatting tramite pypi-scan
• Articolo USENIX su "Counting Broken Links: A Quant's View of Software Supply Chain Security"
• Dataset open source di IQT su compromissioni note della supply chain del software